← España

PS-00318-2019

1/12  Procedimiento Nº: PS/00318/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, el reclamante) con fecha 13/03/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE PIÉLAGOS con NIF P3905200F (en adelante el reclamado o AYUNTAMIENTO). Los motivos en que basa la reclamación son: que ha sido concurrente en el expediente de licitación del contrato de servicios Gestión, Organización y Funcionamiento de la Escuela Municipal de Música del Ayuntamiento de Piélagos; que en la misma hubo de aportarse la relación del profesorado que impartiría las enseñanzas objeto del concurso, exigiéndose indicación de sus datos identificativos; que los datos de los concurrentes, de carácter sensible y personal, se han expuesto y publicitado por el Ayuntamiento en su página web y, además, cuando dicho concurso resultó adjudicado en octubre de 2018. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 13/05/2019, reiterada el 24/05/2019, fue trasladada al reclamado la reclamación presentada para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se le comunicaba a la reclamante la recepción de la reclamación y su traslado a la entidad reclamada. El 16/07/2019 el reclamado remitió escrito en el que señalaba, en síntesis: que se había llevado a cabo la contratación del servicio denominado Gestión, Organización y Funcionamiento de la Escuela Municipal de Música del Ayuntamiento de Piélagos, lo que conlleva la aportación de profesorado especializado en los distintos instrumentos musicales; que en el Pliego de Cláusulas Administrativas se requería la adscripción de medios personales y materiales y se solicitaba una relación nominal del profesorado; que la contratación se ha llevado a cabo por procedimiento abierto; que en la Ley de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 Contratos del Sector público se establece la obligación de publicar el perfil del contratante, entre otros, el informe de valoración de los criterios de adjudicación cuantificables mediante juicio de valor de cada una de las ofertas, obligación que también se establece en la Ley de Transparencia de la Actividad Pública. TERCERO: El 23/08/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 07/02/2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.c),

  1. e)y
  2. f)del RGPD contemplada en el artículo 83.5.
  3. a)del citado Reglamento y sancionada conforme a lo dispuesto en el artículo 77.2 de la LOPDGDD. QUINTO: Notificado el citado acuerdo de inicio, en escrito de 26/02/2020 el reclamado presentó escrito de alegaciones reiterando y formulando básicamente lo manifestado en escrito de 03/12/2019 y que por tanto, fue el reclamante el que presto implícitamente el consentimiento para el tratamiento de los datos personales aportados en su oferta, aceptando las condiciones del Pliego de Cláusulas Administrativas; que las personas afectadas por la publicación de sus datos personales no han presentado reclamación alguna; que la Administración ha procedido a efectuar una ponderación de los derechos e intereses implicados, dando preponderancia al cumplimiento de los requisitos de publicidad y transparencia exigidos en la Ley 9/2015, de 8 de noviembre de Contratos del Sector Público; que el régimen jurídico aplicable a la identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos, se encuentra previsto en la Disposición Adicional Séptima de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, dictándose, posteriormente, una Recomendación de la Agencia Española de Protección de Datos, de fecha de 4 de marzo de 2019, de tal modo que, partiendo de esta consideración, dicha regulación resulta ser posterior al momento en que el Ayuntamiento procedió a la publicación de los informes de valoración de las ofertas en el procedimiento de contratación (octubre de 2018), por lo que, si bien es cierto, que el sometimiento al tratamiento de los datos personales deben ser adecuados, pertinentes y no excesivos, en aplicación del artículo 4.1 de Ley Orgánica 15/1999, también lo es que no existía una regulación detallada del régimen de aplicación a la identificación de los interesados en la publicación de actos, hasta la D.A.7ª de la LOPDGDD. SEXTO: En fecha 02/06/2020 fue dictada Propuesta de Resolución en el sentido de que se sancionara con apercibimiento al reclamado por vulneración del artículo 5.1 apartados c),
  4. e)y
  5. f)del RGPD, tipificadas en el artículo 83.5.
  6. a)del citado Reglamento y sancionada conforme a lo dispuesto en el artículo 77.2 de la LOPDGDD. Transcurrido el plazo establecido para ello el reclamado no ha presentado escrito de alegaciones al tiempo de dictar la presente resolución. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 PRIMERO. El 13/03/2019 tiene entrada en la AEPD escrito del reclamante manifestando que había participado en el expediente de licitación del contrato de servicios Gestión, Organización y Funcionamiento de la Escuela Municipal de Música del Ayuntamiento de Piélagos; y que los datos de los concurrentes, de carácter sensible y personal, se encuentran expuestos y publicitados por el citado Ayuntamiento su página web, de acceso libre, como puede comprobarse en el siguiente enlace: ***ENLACE.1, en el epígrafe informe profesorado, donde se pueden observar sus datos identificativos cuando dicho concurso resultó adjudicado en el me de octubre de 2018. SEGUNDO. Consta impresión de pantalla de 08/04/2019 relativas al acceso realizado a la web y enlace referenciado en el punto anterior en el que figura la Valoración de la Propuesta de Proyecto Educativo Escuela de Música del Ayuntamiento de Piélagos presentado por la reclamante. Adjunto al Informe de la Inspectora de Educación que también contiene el análisis y resolución, figura el listado nominal del profesorado en dos apartados: Titulaciones para Enseñanzas Elementales y Titulaciones para Enseñanzas no regladas en el que constan junto al nombre y apellidos, nº del DNI, titulación, etc. TERCERO. El reclamado ha señalado en escrito de 16/07/2019, entre otras cuestiones, que en el Pliego de Cláusulas Administrativas requería de la adscripción de medios personales y materiales y se solicitaba una relación nominal de profesorado; que la contratación se ha llevado a cabo por procedimiento abierto teniéndose en cuenta criterios varios, entre ellos el de los recursos personales aportados; que la Ley de contratos exige publicar en el perfil de contratante ”el informe de valoración de los criterios de adjudicación cuantificables mediante juicio de valor de cada una de las ofertas”, medida que también impone la Ley de Transparencia. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  7. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 El artículo 5, Principios relativos al tratamiento, del RGPD establece que: “1. Los datos personales serán: (…)
  8. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); (…)
  9. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  10. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” III La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al continuar expuestos en la página web del reclamado los datos de carácter personal que pueden ser conocidos por terceros, cuando dicho concurso ya había resultado adjudicado en octubre de 2018. Hay que señalar que el reclamado tramitó la contratación del servicio "Gestión, Organización y Funcionamiento de Escuela Municipal de Música del Ayuntamiento de Piélagos" (Expediente 1593/2018), que conllevaba la aportación de profesorado especializado en los distintos instrumentos musicales. En el Pliego de Cláusulas Administrativas se requería de la adscripción de medios personales y materiales y, entre estos, se solicitaba una relación nominal de profesorado (nombre, apellidos y D.N.I.), sus titulaciones, compromiso de trabajo, etc. Según la reclamante, en escrito de 13/03/2019, los datos personales de los concurrentes se hallan expuestos y publicados en la página web del reclamado, de acceso libre a terceros, como puede comprobarse en el enlace: ***ENLACE.1, en el epígrafe informe profesorado, donde figuran los datos identificativos cuando dicho concurso resultó adjudicado en el mes de octubre de 2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 En la documentación aportada al expediente administrativo consta copia del acceso el 08/04/2019 realizado a la web del reclamado y al enlace anteriormente referenciado en el que figura la Valoración de la Propuesta de Proyecto Educativo Escuela de Música del Ayuntamiento de Piélagos presentado por la reclamante. Y adjunto al Informe de la Inspectora de Educación que también contiene su análisis y resolución figura el listado nominal del profesorado en dos apartados: Titulaciones para Enseñanzas Elementales y Titulaciones para Enseñanzas no regladas en el que consta junto al nombre y apellidos, nº del DNI, titulación, etc. Hay que señalar que el procedimiento de contratación administrativa se articula tradicionalmente en dos fases: la de las actuaciones preparatorias y la de adjudicación propiamente dicha. La primera, tiene por objeto la predeterminación administrativa de la mayor parte de los elementos definitorios del objeto (proyecto y pliego de prescripciones) y del contenido del contrato (pliego de cláusulas administrativas). Al expediente se incorporarán el pliego de cláusulas administrativas particulares y el de prescripciones técnicas que hayan de regir el contrato. El artículo 63 de la Ley de Contratos del Sector Público (LCSP) regula el Perfil de contratante, y en su apartado 3, letra
  11. e)indica que: “3. En el caso de la información relativa a los contratos, deberá publicarse al menos la siguiente información: (…)
  12. e)El número e identidad de los licitadores participantes en el procedimiento, así como todas las actas de la mesa de contratación relativas al procedimiento de adjudicación o, en el caso de no actuar la mesa, las resoluciones del servicio u órgano de contratación correspondiente, el informe de valoración de los criterios de adjudicación cuantificables mediante un juicio de valor de cada una de las ofertas, en su caso, los informes sobre las ofertas incursas en presunción de anormalidad a que se refiere el artículo 149.4 y, en todo caso, la resolución de adjudicación del contrato”. También la Ley 1/2018, de 21 de marzo, de Transparencia de la Actividad Pública en su artículo 27, Transparencia en la contratación pública, establece: 1. Sin perjuicio de lo dispuesto en la normativa reguladora de los contratos del sector público respecto de los procedimientos de adjudicación y modificación de los contratos, los sujetos comprendidos en el artículo 4 de la presente ley deberán publicar, en sus respectivas sedes electrónicas, portales o páginas web, la información relativa a los contratos que se cita a continuación: (…)
  13. h)Número de licitadores participantes en el procedimiento.
  14. i)Identidad del adjudicatario, así como su solvencia económica y financiera, y técnica o profesional, o en su caso, clasificación. (…)
  15. m)Informe de valoración de las ofertas. (…) La Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, establece en su artículo 8, Límites al derecho de acceso a la información pública, señalando: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 “1. Para ejercer el derecho de acceso a la información pública se aplicarán los límites establecidos en el artículo 14 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno y los establecidos en las leyes de carácter sectorial. En todo caso, su aplicación se llevará a cabo según lo dispuesto en la legislación básica estatal, debiendo ser interpretados, siempre que sea posible, en sentido favorable al acceso a la información pública. 2. Cuando la información solicitada contuviera datos de carácter personal tanto de la persona solicitante como de terceras personas se estará a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 3. En el caso de que a la información solicitada le resulte de aplicación alguno de los límites a que se refiere el apartado primero de este artículo se otorgará, siempre que sea posible, el acceso parcial a la información pública, de conformidad con lo previsto en la normativa básica de acceso a la información pública”. Y el artículo 15, Protección de datos personales, señala: “(…) 3. Cuando la información solicitada no contuviera datos especialmente protegidos, el órgano al que se dirija la solicitud concederá el acceso previa ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal. Para la realización de la citada ponderación, dicho órgano tomará particularmente en consideración los siguientes criterios:
  16. a)El menor perjuicio a los afectados derivados del transcurso de los plazos establecidos en el artículo 57 de la Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español.
  17. b)La justificación por los solicitantes de su petición en el ejercicio de un derecho o el hecho de que tengan la condición de investigadores y motiven el acceso en fines históricos, científicos o estadísticos.
  18. c)El menor perjuicio de los derechos de los afectados en caso de que los documentos únicamente contuviesen datos de carácter meramente identificativo de aquéllos.
  19. d)La mayor garantía de los derechos de los afectados en caso de que los datos contenidos en el documento puedan afectar a su intimidad o a su seguridad, o se refieran a menores de edad. 4. No será aplicable lo establecido en los apartados anteriores si el acceso se efectúa previa disociación de los datos de carácter personal de modo que se impida la identificación de las personas afectadas. 5. La normativa de protección de datos personales será de aplicación al tratamiento posterior de los obtenidos a través del ejercicio del derecho de acceso”. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 En el presente caso, se considera que la conducta del reclamado vulnera el artículo 5 del RGPD, principios relativos al tratamiento, materializado en que los datos de carácter personal de los concurrentes en el procedimiento de licitación del servicio "Gestión, Organización y Funcionamiento de Escuela Municipal de Música del Ayuntamiento de Piélagos" (Expediente 1593/2018), se han expuesto y publicado por el Ayuntamiento en su página web, además, cuando dicho concurso había resultado adjudicado en octubre de 2018, vulnerando de esta manera la limitación del tiempo durante el cual debieron estar expuestos de acuerdo con lo fines del tratamiento. haciendo necesario relacionar los principios de minimización de datos, limitación del plazo de conservación y de integridad y confidencialidad. El artículo 5 establece que: “1. Los datos personales serán:
  20. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Es decir, deberán recogerse solo los datos que sean adecuados, pertinentes, y limitados, es decir, no excesivos en relación con la finalidad concreta y legítima para la que se hayan obtenido; además la pertinencia en el tratamiento de los datos de carácter personal impide el tratamiento de aquellos que no sean necesarios a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. El Considerando 39 señala que: “…Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados”
  21. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; … Si bien ya se consagra que los datos deben ser cancelados cuando dejen de ser útiles para la finalidad para que la fueron recabados, el RGPD además de limitar el plazo de conservación establece la obligación de incluir plazos para la suspensión o revisión periódica. El Considerando 39 señala que: “…Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica”.
  22. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El Considerando 39 señala que: “…Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 La Audiencia Nacional en sentencia de 01/12/2017 señala que: “La Sala comparte el criterio expuesto, pues lo cierto es que las obligaciones de publicidad y trasparencia de la actuación pública y muy especialmente en los procedimientos de ventas patrimoniales como se da en el presente supuesto, deben siempre ser aplicados de una forma armónica con el resto del ordenamiento jurídico, y por más que los preceptos que la recurrente invoca le exijan hacer mención expresa y detallada del objeto, partes y litigio concreto, dicha publicidad no era precio que se realizara en abierto y por lo tanto accesible a cualquiera , sino que se trata de una información que solo se precisa para el conocimiento de los licitadores o en el momento de la adjudicación. En resumen, los hechos consisten en que en un procedimiento de enajenación de 32 promociones (viviendas en arrendamiento y en arrendamiento con opción de compra, garajes, trasteros y locales) pertenecientes al Instituto de la Vivienda de Madrid, publicada en el Boletín Oficial de la Comunidad de Madrid (BOCAM), el 7 de junio de 2013, el Pliego de contratación con todos los Anexos fue publicado en el perfil del contratante, en abierto, y en la página web de la Comunidad de Madrid, en fecha 7 de junio de 2013, y estuvo disponible durante 19 días. La documentación que se podía descargar contenía datos relativos a viviendas y locales (Anexo I), así como relación de procedimientos litigiosos en donde figuraban 41 vivienda de arrendatarios encartados en diversos procedimientos judiciales (Anexo VIII). En la información relativa a la dirección de la vivienda aparecía el nombre y apellidos de los inquilinos, aunque no su DNI. Considera la Sala, que era innecesario en ese primer momento de divulgación del Pliego de condiciones, que los datos personales de los arrendatarios implicados con sus datos personales identificativos se pusieran en conocimiento de forma libre y en abierto, pues no es esa la exigencia de la Ley que la recurrente invoca, sino que podía perfectamente cumplir con el mandato legal, publicando tales datos de forma restringida y solo accesible a los licitadores o en el momento de la licitación. Estima la Sala que los datos personales de los inquilinos no eran relevantes para que fueran accesibles de forma tan amplia como se hizo por parte de la Comunidad de Madrid, constituyendo, por tanto una divulgación excesiva y no pertinente. En consecuencia, debemos desestimar la presente demanda y confirmar la resolución impugnada, en la que, reiteramos, lo que se sanciona no es el hecho simplemente de haber incluido datos personales de los arrendatarios, sino el momento en que se hace, cuando se publica el Pliego de condiciones en el BOCAM, y la forma, en abierto y sin restricciones vía internet, cuando la recurrente podía perfectamente haber cumplido el mandato legal, publicando dichos datos, de forma más restringida y solamente a los interesados”. En el caso examinado, no se pone en duda la exposición en la web del "Informe de valoración de los criterios de adjudicación cuantificables mediante juicio de valor de cada una de las ofertas", del contrato. Sin embargo la infracción que se analiza se centra en la divulgación en la citada web incluyendo los datos personales: nombre y apellidos, nº DNI y demás datos de los concurrentes, facilitando el conocimiento de los mismos a terceros que accedieran a la página web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 El propio reclamado cuando se refiere al artículo 15, Protección de datos personales, de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, señala que "En el presente supuesto, y aun no existiendo una ponderación expresa, se ha considerado preponderante garantizar la transparencia en el acceso a la valoración de la debida aplicación de los criterios de valoración del personal aportado por la empresa y a su debida titulación, al ser el objeto esencial de la publicidad del informe de valoración ,de tal modo que , se ha considerado que de procederse a la publicación del informe con los datos personales disociados se impediría garantizar cómo y con qué criterios se ha realizado su valoración." Por tanto, la exposición y publicación de los citados datos a la luz del RGPD se considera que no es ni adecuado, ni pertinente, ni limitado a lo necesario en relación con los fines para los que son tratados; contrario al principio de limitación del plazo de conservación de los datos de carácter personal que tiene como objetivo reducir temporalmente el uso de datos personales, por lo que obliga a cesar en su tratamiento cuando estos dejan de ser necesarios para la finalidad perseguida y, además, contrarios al principio de confidencialidad al no ser tratados de manera que se garantice la seguridad adecuada a los datos, pudiendo ser conocidos por terceros mediante el acceso a la web. Se debe tener en cuenta que la difusión de datos personales en una página de estas características implica, publicar dicha página en un servidor y realizar operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet, proporcionándose un acceso universal. En el presente caso debe deducirse que el conocimiento por el público en general de datos personales de las personas incluidas en la licitación no se encuentra habilitada por ninguna de las normas que el reclamado señala. No se pone en duda que deba publicarse el número e identidad de los licitadores participantes en el procedimiento o identidad del adjudicatario o el informe de valoración de los criterios de adjudicación cuantificables mediante un juicio de valor de cada una de las ofertas, pero no que pueda contener elementos identificadores de las personas contenidas en Titulaciones para Enseñanzas Elementales y Titulaciones para Enseñanzas no regladas en abierto. Además, tampoco hay que confundir la publicación en sedes electrónicas, portales o páginas web de toda aquella información referida a los contratos públicos, de lo relativo al ejercicio del derecho de acceso a la información. V El artículo 83.5
  23. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. Por otro lado, la LOPDGDD, a efectos de prescripción, en su artículo 72 indica: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12
  24. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI No obstante, la LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  25. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  26. b)Los órganos jurisdiccionales.
  27. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  28. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  29. e)Las autoridades administrativas independientes.
  30. f)El Banco de España.
  31. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  32. h)Las fundaciones del sector público.
  33. i)Las Universidades Públicas.
  34. j)Los consorcios.
  35. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. De conformidad con las evidencias de las que se dispone, dicha conducta constituye por parte del reclamado la infracción a lo dispuesto en el artículo 5.1 en sus letras c),
  36. e)y
  37. f)del RGPD. Hay que señalar que el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 77 la posibilidad de acudir a la sanción de apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones, cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER al AYUNTAMIENTO DE PIÉLAGOS, con NIF P3905200F, por una infracción del aartículo 5, c),
  38. e)y
  39. f)del RGPD del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento de conformidad con el artículo 77.2 de la LOPDGDD. SEGUNDO: REQUERIR al AYUNTAMIENTO DE PIÉLAGOS, con NIF P3905200F, para que en el plazo de un mes desde la notificación de esta resolución, acredite la adopción de medidas que sean necesarias y pertinentes de conformidad con la normativa en materia de protección de datos de carácter personal a fin de evitar que en el futuro vuelvan a producirse incidencias como las que han dado lugar a la reclamación corrigiendo los efectos de la posible infracción, adecuando la información y publicación de los datos de carácter personal en la página web de la entidad a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 citadas medidas y adecuarse a las exigencias contempladas en el artículo 5, letras c),
  40. e)y
  41. f)del RGPD. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE PIÉLAGOS, con NIF P3905200F. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  42. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.